Proteção de dados de pacientes no México: guia LFPDPPP, INAI e NOM-024 para centros de radiologia dentária

Uma clínica radiológica dentária no México lida com dados pessoais sensíveis todos os dias. A Lei Federal de Proteção de Dados Pessoais em Posse de Particulares (LFPDPPP), vigente desde julho de 2010, os protege com um dos marcos mais robustos da América Latina. O Instituto Nacional de Transparência, Acesso a Informação e Proteção de Dados Pessoais (INAI) e a autoridade de controle e pode impor multas de até 320.000 dias de UMA, duplicadas quando se trata de dados sensíveis.

Este artigo explica o que diz a LFPDPPP, como se articula com a NOM-024-SSA3-2012 sobre sistemas de informação clínica e a NOM-004-SSA3-2012 sobre o prontuário, e como o CBCTHub atende a cada exigência técnica para que seu centro radiológico opere com confiança. Profissionais brasileiros vão notar paralelos claros com a LGPD (Lei 13.709/2018).

A LFPDPPP em poucas palavras

A LFPDPPP entrou em vigor em 6 de julho de 2010 e se aplica a pessoas físicas e jurídicas privadas que tratam dados pessoais. Seu Regulamento de 2011 detalha as obrigações técnicas. As Diretrizes do Aviso de Privacidade de 2013 estabelecem o conteúdo mínimo do aviso ao titular.

Marco regulatório aplicável a uma clínica dentária no México

• LFPDPPP (2010): lei federal aplicável a particulares.
• Regulamento da LFPDPPP (2011): detalha os princípios e deveres.
• Diretrizes do Aviso de Privacidade (2013): conteúdo obrigatório do aviso.
• Lei Geral de Proteção de Dados Pessoais em Posse de Sujeitos Obrigados (2017): aplicável a IMSS, ISSSTE, hospitais públicos.
• NOM-024-SSA3-2012: sistemas de informação de registro eletrônico para a saúde, segurança e confidencialidade.
• NOM-004-SSA3-2012: prontuário, conteúdo mínimo e conservação.
• Lei Geral de Saúde: segredo profissional médico.

Dados pessoais sensíveis segundo a LFPDPPP

O artigo 3 fração VI define dados pessoais sensíveis como aqueles que afetam a esfera mais intima do titular ou cuja utilização indevida possa originar discriminação. Inclui expressamente origem racial, estado de saúde presente e futura, informação genética, crenças religiosas, vida sexual. Uma tomografia CBCT é dado sensível.

O que a lei exige sobre os dados do paciente

Aviso de Privacidade obrigatório

Toda clínica deve entregar ao paciente um Aviso de Privacidade antes de coletar seus dados. O Aviso deve conter: identidade e endereço do responsável, finalidades do tratamento, opções para limitar o uso, meios para exercer direitos ARCO, transferências previstas, mecanismo para mudanças no Aviso. Existem três modalidades: integral, simplificado e curto. O integral deve estar disponível no site ou na recepção.

Consentimento expresso para dados sensíveis

O artigo 9 da LFPDPPP exige consentimento expresso e por escrito para tratar dados sensíveis. A assinatura eletrônica avançada ou a assinatura autografa em papel cumprem o requisito.

Direitos ARCO (Acesso, Retificação, Cancelamento, Oposição)

O titular pode exercer seus direitos a qualquer momento. O responsável tem 20 dias úteis para responder e 15 dias adicionais para atender a solicitação. Deve existir um departamento ou pessoa designada para atender solicitações ARCO.

Princípios da LFPDPPP

Licitude, consentimento, informação, qualidade, finalidade, lealdade, proporcionalidade, responsabilidade. Cada tratamento deve cumprir os oito.

Medidas de segurança

O artigo 19 obriga a implementar medidas administrativas, físicas e técnicas para proteger os dados. O Regulamento detalha o sistema de gestão de segurança. A NOM-024 adiciona requisitos técnicos específicos para prontuários eletrônicos.

Notificação de violações

O artigo 64 do Regulamento obriga a informar ao titular sem demora quando ocorra uma violação. Não há prazo fixo como no RGPD, mas a jurisprudência INAI tem aplicado o principio de imediatez.

Transferências internacionais

As transferências de dados ao exterior exigem consentimento do titular ou amparo nas hipóteses do artigo 37. E prática recomendada incluir clausulas de proteção em contratos com fornecedores cloud estrangeiros.

Operador

Todo fornecedor que trata dados em nome do responsável é um operador. Deve assinar contrato que cumpra os requisitos do artigo 50 do Regulamento.

Conservação (NOM-004)

A NOM-004-SSA3-2012 estabelece que o prontuário deve ser conservado por pelo menos cinco anos a partir do último ato médico, incluindo exames de imagem associados.

Sanções do INAI

• De 100 a 160.000 UMA (Unidade de Medida e Atualização) por infrações leves ou graves. Em 2026 a UMA gira em torno de MXN 113, então a faixa vai de uns MXN 11.300 a MXN 18 milhões aproximadamente.
• De 200 a 320.000 UMA por infrações a obrigações reforçadas (até uns MXN 36 milhões).
• As multas DUPLICAM quando se trata de dados sensíveis segundo o artigo 64 da LFPDPPP.
• Penas privativas de liberdade de 3 meses a 3 anos por uso indevido e de 6 meses a 5 anos por tratamento doloso (artigos 67 e 68).

Riscos concretos para um centro radiológico dentário mexicano

Não ter Aviso de Privacidade visível é uma das infrações mais comuns detectadas pelo INAI. Enviar tomografias por WhatsApp sem criptografia, não responder solicitações ARCO no prazo ou usar um fornecedor cloud estrangeiro sem contrato adequado são infrações documentadas. Em 2023 o INAI sancionou várias instituições de saúde com multas de vários milhões de pesos por violações não notificadas.

Como o CBCTHub ajuda você a cumprir a LFPDPPP e a NOM-024

Modelo de Aviso de Privacidade para o México

O CBCTHub inclui modelos de Aviso de Privacidade integral e simplificado adaptados a LFPDPPP. Você só personaliza os dados da sua clínica.

Consentimento expresso por escrito

O módulo de consentimento informado do CBCTHub gera o documento conforme o artigo 9, envia ao paciente e coleta assinatura eletrônica verificável. Cumpre o requisito de consentimento expresso para dados sensíveis.

Criptografia em trânsito e em repouso

TLS 1.3 e AES-256 cumprem as medidas técnicas que exige o artigo 19 da LFPDPPP e a NOM-024 nos itens de segurança.

Audit log para direitos ARCO

Cada acesso e modificação fica registrado. Quando um paciente exerce ARCO, você exporta o log do prontuário correspondente pelo painel da clínica.

Procedimento documentado para direitos ARCO

O CBCTHub permite responder solicitações de acesso (exportação de dados), retificação (edição do prontuário), cancelamento (exclusão) e oposição (encerramento de tratamento) em questão de minutos, dentro do prazo de 20 dias úteis.

Exclusão segura para direito de cancelamento

DELETE /api/v1/exams/{id} apaga o exame e todos os DICOM em R2 de forma irreversível. Cumpre o direito de cancelamento do artigo 25 da LFPDPPP.

Portabilidade via export-data

O endpoint /api/account/export-data entrega os dados em JSON estruturado para portabilidade ou auditoria.

Contrato com o operador

O CBCTHub assina contrato de operador que cumpre os requisitos do artigo 50 do Regulamento da LFPDPPP. Disponível para download em /privacidad.

RLS multi-tenant no Supabase

Isolamento estrito entre clínicas. Cumpre o principio de responsabilidade do artigo 6 da LFPDPPP.

Notificação de violações

Se detectamos uma violação que afete seus dados, te notificamos sem demora para que possa cumprir o artigo 64 do Regulamento.

Checklist de conformidade LFPDPPP para seu centro

• Designar Departamento de Dados Pessoais ou pessoa responsável.
• Publicar Aviso de Privacidade integral no site e simplificado na recepção.
• Modelo de consentimento expresso para dados sensíveis.
• Procedimento documentado de resposta aos direitos ARCO (prazo de 20 dias).
• Sistema de gestão de segurança documentado.
• Contrato com o CBCTHub e todos os operadores.
• Política de retenção de 5 anos mínimo segundo NOM-004.
• Cumprir requisitos técnicos da NOM-024 se usa prontuário eletrônico.
• Treinamento anual da equipe.
• Bitacora de incidentes de segurança.

FAQ

Posso enviar tomografias por WhatsApp?

Não de forma segura. WhatsApp não garante as medidas técnicas que exige o artigo 19 da LFPDPPP para dados sensíveis. Use um link seguro do CBCTHub que cumpre criptografia, controle de acesso e rastreabilidade.

Por quanto tempo devo conservar o prontuário?

A NOM-004-SSA3-2012 fixa um mínimo de 5 anos a partir do último ato médico. Para implantes muitas clínicas conservam pela vida útil do implante.

O que acontece se eu perder o backup com dados sensíveis?

Você deve notificar ao titular sem demora segundo o artigo 64 do Regulamento. A multa pelo descumprimento de medidas de segurança pode duplicar por se tratar de dados sensíveis.

Preciso assinar algo com o CBCTHub?

Sim. O artigo 50 do Regulamento exige contrato com o operador. O CBCTHub o fornece em /privacidad.

Recursos oficiais

• INAI
• LFPDPPP (PDF Câmara dos Deputados)
• NOM-024-SSA3-2012
• NOM-004-SSA3-2012

Baixe o contrato de operador do CBCTHub | Solução para centros de radiologia no México | Planos e preços

Este artigo é informativo e não constitui assessoria legal. Consulte um advogado especializado em proteção de dados mexicano para o seu caso específico.